java - 使用属性文件是安全的选择吗？

Question

我需要使用属性文件来获取一些不应透露给任何人的重要信息。

我的问题是:关于安全问题，使用属性文件是否是安全的选择？

Answer 1

这取决于更大的上下文(整个解决方案的安全策略)以及您想要保证安全的数据的性质。

在大多数环境中，安全网络是通过使用防火墙等构建的，在内部，甚至敏感信息(如 API key )也以纯文本形式存储在属性文件等中。有更复杂的解决方案可以对这些信息进行加密，但需要大量的设置。

有些人建议在源代码中嵌入加密 key 来加密属性文件，然后混淆源代码以隐藏加密 key ，但这是通过模糊实现安全性，应该避免。

如果您要存储密码信息来验证用户身份等，那么您应该存储密码的加盐哈希值。

编辑:
最好的方法之一可能是对属性文件进行加密，并让运算符(operator)在每次应用程序时输入加密 key 。启动(以避免将加密 key 存储在持久存储中)。但请注意，攻击者仍然可以读取进程内存以获取解密的值。
这就是为什么大多数解决方案都专注于保护网络，而不是防止已经有权访问服务器的攻击者。